金融規制の適用を受ける企業がAmazon S3に保存する顧客データについて、以下のすべての要件を満たす必要があります。(1) 企業が自ら管理する暗号化キーでデータを保護すること、(2) キーの使用履歴を監査ログとして保持すること、(3) キーを年次で自動ローテーションすること、(4) 特定のIAMロールのみがキーを使用できること。これらすべての要件を最小の運用負荷で満たす構成はどれか？
選択肢BのAWS KMS + SSE-KMSが正解です。カスタマーマネージドキー（CMK）はキーポリシーによる細粒度のアクセス制御、年次自動ローテーション、CloudTrailによる全使用履歴の記録が可能で、要件(1)〜(4)をすべて満たします。 選択肢AのSSE-S3はAWSが鍵を管理するため、企業自身による鍵管理（要件1）と特定IAMロールのみのキー使用制限（要件4）を満たせません。 選択肢Cのクライアントサイド暗号化＋Parameter Storeの組み合わせは、Parameter StoreのSecureStringが暗号化キーの自動ローテーションに対応しておらず要件(3)を満たせません。 選択肢DのCloudHSMはFIPS 140-2 Level 3準拠の専有ハードウェアを使用する高度な鍵管理向けで、運用コストと複雑さが大幅に増加するため「最小の運用負荷」という要件に適しません。